1.一个小白来说，代码审计的路线可能一开始不会清晰，但是多练习和多接触，了解多了其实也就这么回事。代码审计其实就是对源码白盒测试，千万先记住一点，任何产生交互的地方都完全存在漏洞；再多记住一点，看代码的时候那些被写死的字符串，输出内容真的没有必要去在意和阅读；(当然前提还是要会一些php不然搞不来)。
2.一个php项目，请务必先测试和找到它的入口，(可能是单或多); 因为按照php的风格她一定会对客户端提交的数据有一定程度的处理。了解这个是挖掘每一个php项目漏洞的先决条件。由于是入门学习，zzcms是存在一个统一入口处理提交变量的方法…/inc/stopsqlin.php。
/*首先如何寻找这个文件，我认为每个人习惯可能不一样；但是我这里发现了有好几种方式；
一、在浏览器不同网页下多尝试可能提交参数的地方，或者自己构造参数；zzcms主页下我构造了?id=